APT-Q-27 Malware-Kampagne zielt auf Web3-Kundensupport ab

Zusammenfassung

Ein finanziell motivierter Bedrohungsakteur, der als APT-Q-27 (auch bekannt als GoldenEyeDog) verfolgt wird, führt eine mehrstufige Malware-Kampagne durch, die bei Web3-Kundensupport-Chat-Interaktionen beginnt. Das anfängliche Lockmittel ist eine .pif-Datei, die als Screenshot getarnt ist und einen benutzerdefinierten .NET-Loader bereitstellt. Dieser Loader zieht zusätzliche Stufen von AWS S3, erstellt ein verstecktes Staging-Verzeichnis und nutzt DLL-Sideloading, indem er eine bösartige DLL mit einer legitimen YY-Plattform-Exe-Datei koppelt. Die letzte Stufe installiert eine Backdoor, die über einen nicht standardmäßigen TCP-Port kommuniziert und unauffälligen Fernzugriff über die typischen Webtraffic-Grundlinien hinaus ermöglicht.

Untersuchung

ZeroShadow analysierte mehrere Loader-Varianten, einschließlich Feedback.exe und photo2025060268jpg.exe, und ermittelte eine doppelte Base64-codierte C2-URL, die in der Kette eingebettet war. Reverse Engineering enthüllte die Entschlüsselungslogik des Loaders und den Sideloading-Workflow, der zur Ausführung verwendet wird. Analysten dokumentierten auch einen konsistenten Staging-Pfad-Marker, der „@27“ enthält, sowie einen Persistenzmechanismus über einen HKCU Run-Wert namens SystemUpdats. Die Backdoor wurde unter Verwendung eines fest codierten Satzes von 37 C2-IP-Adressen beobachtet, die über TCP 15628 kommunizieren und die Aktivität durch das Referenzieren von Microsoft-Update-URLs als Ablenkungsnetzwerk-Indikatoren verschleiern.

Minderung

Aktivieren Sie die vollständige Sichtbarkeit der Dateierweiterung und blockieren Sie die Ausführung von .pif-Dateien auf Endgeräten. Überwachen Sie die Erstellung versteckter Verzeichnisse unter Windows Update-Cache-ähnlichen Speicherorten und alarmieren Sie bei dem SystemUpdats Run-Schlüsselwert. Härten Sie UAC, indem Sie verhindern, dass Angreifer gleichzeitig die drei relevanten Richtlinienschlüssel nullen, und beschränken Sie ausgehende Verbindungen zu TCP 15628 an Ausgangspunkten. Erzwingen Sie die Überprüfung von Signaturen und überprüfen Sie signierte Binärdateien, die aus Nicht-System-Verzeichnissen gestartet werden, um das Risiko von DLL-Sideloading zu verringern.

Reaktion

Wenn Erkennungen ausgelöst werden, isolieren Sie den Endpunkt und bewahren sowohl Speicher- als auch Festplattenartefakte zur Überprüfung auf. Suchen Sie nach dem Staging-Verzeichnis mit „@27“, dem SystemUpdats Run-Schlüsseleintrag und verdächtigen DLLs, die mit der legitimen YY-Exe gekoppelt sind. Blockieren Sie die identifizierten C2-IPs/-Domains und implementieren Sie Anwendungssteuerungs-Richtlinien, die die Ausführung unsignierter oder nicht vertrauenswürdiger Binärdateien aus Benutzerprofilpfaden verhindern. Erweitern Sie die Untersuchung über die gesamte Flotte hinsichtlich derselben Persistenz- und Netzwerk-Muster, um weitere betroffene Hosts zu identifizieren.

Simulation Ausführung

Voraussetzung: Der Telemetrie- und Basislinien-Vorab-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Angreifertechnik (TTP), die zur Auslösung der Erkennungsregel entwickelt wurde. Die Befehle und die Erzählung MÜSSEN die identifizierten TTPs direkt widerspiegeln und zielen darauf ab, genau die Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird.

• Angriffsnarrativ & Befehle:
  Ein Angreifer mit lokalen Administratorrechten versucht, UAC zu deaktivieren, um den Weg für weitere Privilegien-Eskalationswerkzeuge zu ebnen. Mit dem nativen reg.exe Hilfsprogramm (ein living-off-the-land-Binär), setzt der Angreifer die drei kritischen UAC-Richtlinienwerte auf 0 in schneller Folge (unter 30 Sekunden), um eine Erkennung durch manuelle Prüfverfahren zu vermeiden.

  # Schritt 1 - Deaktivieren von UAC „EnableLUA“
  reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem" /v EnableLUA /t REG_DWORD /d 0 /f
  
  # Schritt 2 - Deaktivieren der Einwilligungsaufforderung für Admins
  reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem" /v ConsentPromptBehaviorAdmin /t REG_DWORD /d 0 /f
  
  # Schritt 3 - Deaktivieren des sicheren Desktops für UAC-Eingabeaufforderungen
  reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem" /v PromptOnSecureDesktop /t REG_DWORD /d 0 /f

  Diese drei Befehle erzeugen drei Registry-Ereignis Logs (EventID 4657 im Sicherheitskanal und die entsprechenden Microsoft-Windows-Registry/Operational Ereignisse) mit den Zielobjekt Pfaden und Details Werten, auf die die Sigma-Regel abgestimmt ist.

• Regressionstest-Skript: Das folgende PowerShell-Skript führt die drei Schreibvorgänge mit einer 5-Sekunden-Pause dazwischen aus, um sich problemlos im 30-Sekunden-Fenster zu bewegen, und bietet gleichzeitig einen deterministischen Ausführungsfluss.

  # Regressionstest - Deaktivieren von UAC über die Registrierung
  $regPath = "HKLM:SOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem"
  
  # Ursprüngliche Werte für die spätere Bereinigung speichern
  $originalEnableLUA = (Get-ItemProperty -Path $regPath -Name EnableLUA -ErrorAction SilentlyContinue).EnableLUA
  $originalConsent   = (Get-ItemProperty -Path $regPath -Name ConsentPromptBehaviorAdmin -ErrorAction SilentlyContinue).ConsentPromptBehaviorAdmin
  $originalPrompt    = (Get-ItemProperty -Path $regPath -Name PromptOnSecureDesktop -ErrorAction SilentlyContinue).PromptOnSecureDesktop
  
  # UAC deaktivieren
  Set-ItemProperty -Path $regPath -Name EnableLUA -Value 0
  Start-Sleep -Seconds 5
  Set-ItemProperty -Path $regPath -Name ConsentPromptBehaviorAdmin -Value 0
  Start-Sleep -Seconds 5
  Set-ItemProperty -Path $regPath -Name PromptOnSecureDesktop -Value 0
  
  Write-Host "UAC deaktiviert – Verifizierungsprotokolle sollten jetzt eingelesen werden."

• Bereinigungsbefehle: Stellen Sie die ursprünglichen UAC-Einstellungen wieder her, um das System in den Status vor dem Test zurückzuversetzen.

  # Bereinigung – Ursprüngliche UAC-Einstellungen wiederherstellen
  $regPath = "HKLM:SOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem"
  
  if ($null -ne $originalEnableLUA) { Set-ItemProperty -Path $regPath -Name EnableLUA -Value $originalEnableLUA }
  if ($null -ne $originalConsent)   { Set-ItemProperty -Path $regPath -Name ConsentPromptBehaviorAdmin -Value $originalConsent }
  if ($null -ne $originalPrompt)    { Set-ItemProperty -Path $regPath -Name PromptOnSecureDesktop -Value $originalPrompt }
  
  Write-Host "UAC-Einstellungen auf ursprüngliche Werte zurückgesetzt."